Tunnel inverse ou VPN : lequel choisir pour chaque cas

Comparer un tunnel inverse (ngrok, SuperDMZ, Cloudflare Tunnel) avec un VPN (OpenVPN, WireGuard, Tailscale), c'est comme comparer Uber et le bus — ils répondent au même besoin ("aller de A à B") avec des modèles complètement différents.

VPN : la route traditionnelle

Le VPN place l'utilisateur à l'intérieur du réseau. Une fois connecté, il atteint tout ce que le routage permet — IPs internes, broadcast, DNS interne, imprimante, etc.

Quand ça a du sens :

• Salarié interne qui doit atteindre 5+ services différents de l'entreprise
• Sysadmin qui doit faire du SSH sur 30 machines
• Filiale se connectant au datacenter (site-to-site)

Où ça fait mal :

• Le client doit être installé et configuré (même Tailscale est une appli qui demande login)
• Le client tombe → l'utilisateur se plaint → vous reconfigurez
• Partager l'accès "rapide" avec un tiers devient problème de provisioning

Tunnel inverse : un seul endpoint public

Le tunnel inverse expose UN service du réseau via une URL publique. Qui consomme cette URL n'a besoin d'aucun client et d'aucun credential supplémentaire au-delà de ce que le service exige déjà.

Quand ça a du sens :

• Webhook de paiement frappant votre Express local
• Client final accédant à un système interne via HTTPS (qu'il ouvre dans le navigateur)
• RDP / SSH pour 1 développeur distant
• Caméra IP que le propriétaire veut voir depuis son téléphone
• Démo produit que vous voulez montrer à 1 prospect

Où ça fait mal :

• Chaque service neuf est un tunnel neuf (souvent un avantage — contrôle granulaire)
• Pas un remplacement pour usage interne "large" de salarié

À propos du ZTNA (Zero Trust Network Access)

ZTNA est l'évolution du VPN — au lieu de donner accès au réseau entier, il donne accès par application. Cloudflare Access et Twingate sont des exemples. Conceptuellement très proche de ce que fait le tunnel inverse, mais avec généralement un client des deux côtés (serveur + utilisateur) et un coût plus élevé.

Résumé pratique

• Salarié atteignant beaucoup de choses de l'entreprise ? VPN ou ZTNA.
• Webhook, caméra IP, RDP ponctuel, démo, dev local ? Tunnel inverse.
• Client final consommant votre système interne ? Tunnel inverse.
• Hybride (filiale → datacenter) ? VPN.